Las tecnologías de localización ¿están expuestas a la pérdida de información de historiales médicos de pacientes?

La tecnología de localización, del tipo a la empleada en los buscas tradicionales ha sido desterrada en favor de los smartphones, dejando de ser un medio fiable y directo de comunicación.

Sin embargo, hay casos y sectores en los que los localizadores o buscas se siguen utilizando, como es el caso de restaurantes, hospitales o en lugares en los que no llega la señal móvil.

Desafortunadamente, la tecnología moderna ha pasado factura a esta solución heredada. A través del software definido por radio y de equipamiento barato, terceras personas pueden leer mensajes (páginas) de “buscas” que no estén cifrados incluso a decenas de kilómetros de distancia de su fuente.

Así lo pone de manifiesto el equipo de investigación de Trend Micro, Forward-Looking Threat Research (FLTR), en un reciente estudio que lleva por título “Leaking beeps: unencrypted pager messages in the healthcare industry”, donde se recogen los principales hallazgos y conclusiones encontradas en el ámbito de la salud en relación a los riesgos que entraña el uso de los localizadores que no utilizan sistemas de seguridad.

Esta debilidad en la tecnología de localización de los “buscas” tiene implicaciones específicas en el sector de la salud en Estados Unidos, una industria regida por la Ley de Transferencia y Responsabilidad de Seguro Médico (Health Insurance Portability and Accountability Act, HIPAA por sus siglas en inglés). Sin embargo, Trend Micro ha observado este problema en todo el mundo, incluyendo Asia, Europa y Norteamérica, lo que significa que no es un hecho aislado que ha ocurrido por casualidad en un país o en una organización en particular.

La HIPAA regula cómo debe mantenerse la confidencialidad de los datos personales de los pacientes y penaliza cualquier violación de acuerdo con la disposición de sanciones HIPAA. Por el contrario, durante el transcurso de la investigación de Trend Micro, la compañía fue capaz de leer las páginas procedentes de centros de salud que contenían diversa información médica protegida (PHI, por sus siglas en inglés), por ejemplo: direcciones de correos electrónicos, números de teléfono, fechas de nacimiento, síndromes y diagnósticos, entre otros datos.

Además, el equipo de investigación de Trend Micro ha podido realizar un seguimiento de casos específicos en base a los números de las historias clínicas enviadas en las páginas. Esto ha permitido seguir el movimiento de un paciente en el hospital: desde el momento en el que el caso de un paciente es trasladado desde un centro exterior y todas las medidas adoptadas para su evaluación, diagnóstico y tratamiento, hasta cuando éste es dado de alta. En algunos casos, incluso se pudieron acceder a  las notificaciones de defunción.

Esta investigación contiene los casos de estudio, junto con varios escenarios posibles de ataque donde un atacante utiliza la información de los mensajes sin cifrar de los “busca” para poner en marcha trabajos de reconocimiento, ingeniería social o alguna forma de ataque dirigido o sabotaje.

Trend Micro ha recopilado una gran cantidad de datos de los tipos de fugas de información que ha visto durante el análisis. Algunos de los puntos que conviene destacar son:

• En algunos casos, se observó que la información del paciente; incluyendo nombre, diagnóstico, tratamiento, resultados de pruebas e incluso hasta el momento en que se producen accidentes en el tratamiento, se transmitía sin tomar medidas de seguridad. Esto cuestiona las diferentes normativas de confidencialidad de los datos sanitarios a nivel mundial, tales como HIPAA. Incluso en aquellos casos en los que se utilizaban siglas y términos médicos, sólo hizo falta un nivel básico de conocimiento médico (¿puede alguien decir webMD?) para entender el tratamiento y cuidados que el paciente (incluyendo su nombre) estaba recibiendo.

• La asistencia sanitaria, así como los productos que se utilizan en los hospitales, podían ser fácilmente recopilados. En el caso de un desarrollador de tecnología para la salud o un fabricante de medicamentos, esta información es de gran valor, pues sin duda podrían estar interesados en saber acerca de las tecnologías que se utilizan. Conocer los productos que más se emplean o determinar qué tipos de medicamentos demandan los pacientes  en los hospitales podría utilizarse para posicionar mejor sus propios productos en el mercado.

• Se detectaron fácilmente los diagnósticos y las prácticas del tratamiento en pacientes individuales, incluyendo los casos en los que era muy obvio que había pruebas de laboratorio muy caras y probablemente innecesarias, o casos en los que los tests médicos se llevaban a cabo en los pacientes con un diagnóstico que no necesitaba de esos tipos de pruebas (digamos, pruebas de medicina nuclear y diagnóstico radiológico MRI para un paciente con gripe).

• Se identificaron diversos tipos de actividad criminal que tenían lugar con este tipo de datos. La actividad delictiva más probable y significativa implicaría el robo de identidad dada la gran cantidad de información personal que se podía ver. Otra podría ser la inyección de pruebas falsas y los resultados de laboratorio a través de páginas falsificadas, las cuales fueron bastante fáciles de crear por el propio equipo de Trend Micro durante sus pruebas.

Trend Micro realizó esta investigación con herramientas adquiridas fácilmente en Amazon por menos de 30 dólares. Podemos concluir que, literalmente, la monitorización está al alcance de cualquier niño, de un adolescente aburrido o de una mente criminal con un interés monetario. Como se mencionaba anteriormente, no se trata de un hecho aislado, sino de un problema global resultado de la creencia en la idea de que la tecnología no tiene edades. Para algunos, esto es una forma de negligencia provocada por el uso de tecnologías obsoletas en el entorno digital del siglo XXI.

Recomendaciones de Trend Micro

Entre las recomendaciones que Trend Micro ofrece a organismos y entidades de atención sanitaria que todavía utilizan localizadores o “buscas” de forma poco segura, para mitigar los problemas y proteger la privacidad de los historiales clínicos conviene destacar:

• Cifrar la comunicación - Incluso el cifrado de una sencilla clave previamente compartida (PSK) puede ponérselo más difícil al atacante. Los métodos de cifrado más sofisticados significan comunicación más segura. El desarrollo actual de cifrado asimétrico integrado en el hardware es posible y no supone un impacto económico elevado.

• Autenticar la fuente – Para evitar que el sistema acepte mensajes falsos, debería diseñarse una autenticación en el firmware. En caso de duda sobre información médica extraña, se recomienda llamar o concertar una reunión con la persona para verificar la información. hacer una llamada de teléfono o reunirse con la persona para verificar la información.

• No transmitir múltiples factores del PHI – Tal y como los investigadores han mencionado, en el caso de algunos profesionales de la salud, una buena práctica es enviar páginas que no contengan excesiva documentación relevante en el extremo receptor. Por ejemplo, los números de referencia médicos y parte de la fecha de nacimiento debería ser suficiente para confirmar la identidad del paciente cuando se combina con información offline en el extremo de recepción.